De supply-chain aanval achter GhostAction duikt opnieuw op, maar nu met een opvallende camouflage: aanvallers zouden een credential stealer verbergen in een nep font-bestand. Securityonderzoekers beschrijven hoe de campagne is uitgebreid van kwaadaardige GitHub Actions-workflows naar phishing en misleiding die in de ontwikkelomgeving kan landen.
De kern van deze GhostAction font-misleiding is dat slachtoffers niet alleen worden geraakt via automatisering in projecten, maar ook via het stelen van toegang via OAuth en 2FA-codes. Hieronder lees je wat er bekend is en welke praktische stappen je kunt nemen.
Van GitHub Actions naar font-gebaseerde credential theft
Eerder werd GhostAction vooral gekoppeld aan het injecteren van schadelijke GitHub Actions-workflows in reeds gecompromitteerde repositories. In de nieuwste fase verschuift het aanvalstraject naar social engineering én naar payloads die in een ogenschijnlijk onschuldige asset verschijnen: een nepfont.
Onderzoekers melden dat de aanval is waargenomen in 94 gecompromitteerde GitHub-repositories. Daarbij zouden er twee stadia zijn: een workflow die afhankelijk van de omstandigheden wel of niet uitpakt, en een tweede component die persisteert op de machine van ontwikkelaars.
Phishing met GitHub-impersonatie en OAuth-device flow
Een belangrijk onderdeel van de campagne is phishing die open-source maintainers moet overtuigen. De aanvallers zouden een domein hebben geregistreerd met een GitHub-thema, door het te laten verwijzen naar een IP-adres dat ook wordt gebruikt als exfiltratie-endpoint.
In een voorbeeld van deze aanpak is er een phishingmail gezien die zich voordoet als een GitHub-beveiligingswaarschuwing. De boodschap zou een nieuw loginmoment melden (o.a. vanuit Moskou) en de ontvanger sturen naar een link om de account “te beveiligen”.
Reverse proxy voor wachtwoord, 2FA en workflow-permissies
Volgens de onderzoekers fungeert de misleidingspagina als reverse proxy. Daardoor kunnen aanvallers gegevens verzamelen, waaronder het wachtwoord en een twee-factorcode (2FA). Vervolgens wordt er JavaScript ingezet dat een OAuth-app autoriseert.
Het doel is niet alleen om in te loggen, maar om een OAuth-token te verkrijgen met ruime rechten. Er wordt beschreven dat de authorisatie scope’s omvat die nodig zijn om repository- en workflow-inhoud te kunnen lezen en wijzigen. Daarmee kunnen aanvallers later acties uitvoeren die passen bij GhostAction-stijl: het inventariseren van repositories en het aanpassen van workflowbestanden onder .github/workflows/.
OAuth-token als herbruikbare API-toegang
Door een token te stelen op repository-niveau krijgen aanvallers een herbruikbare API-credential. Daarna kan de campagne worden voortgezet met minder afhankelijkheid van één enkel slachtofferincident. De onderzoekers koppelen dit aan het scenario waarin aanvallers automation op projectniveau combineren met gerichte social engineering richting mensen die toegang bieden tot projecten, organisaties en registries.
De nepfont die ontwikkeltools laat “doordraaien”
Naast de phishing beschrijven onderzoekers een tweede stadium dat op ontwikkelaarsmachines kan blijven draaien, zelfs nadat de kwaadaardige workflow is verwijderd. Deze persisterende aanpak maakt gebruik van bestanden die in het repository worden toegevoegd.
VS Code tasks.json met automatische uitvoering
Een van de drie gemelde bestanden is een VS Code tasks.json-configuratie. Die bevat een trigger die taken automatisch start zodra een map in VS Code wordt geopend. Met andere woorden: zodra de ontwikkelaar het project opent, kan de kwaadwillende uitvoering in werking treden.
Fontbestand met stealer-payload voor meerdere secret-typen
Het fontbestand bevindt zich in een pad als public/fonts/fa-solid-400.woff2. Het bestand zou een stealerpayload bevatten die specifiek is ontworpen om allerlei typen gevoelige gegevens te verzamelen, waaronder:
- AWS keys
- PyPI-tokens
- npm-tokens
- Git-inloggegevens
- Kubernetes cluster credentials
- SSH-private sleutels
- AI-provider credentals (o.a. Anthropic Claude en Google Gemini)
Opvallend is ook dat de naam van het fontbestand overeenkomt met een fontnaam uit eerdere campagnecontext rond PolinRider.
Tweede workflow als “fallback” wanneer de infostealer niet draait
Daarnaast zou er een tweede GitHub Actions-workflow worden geactiveerd als de eerste stage (de stealer) niet werkt. Die fallback zorgt ervoor dat de aanval alsnog een vervolg krijgt.
De workflow’s zijn meerdere keren waargenomen met namen zoals lint.yml, ci-check.yml en build-check.yml, naast diverse varianten. In de beschrijving zit ook een mechanisme om verzamelde bevindingen door te sturen, waarbij er een fallback is richting een secret GitHub gist als een POST niet lukt.
Waarom het lastig is: GitHub blokkeert, aanvallers migreren
Onderzoekers geven aan dat GitHub er op 9 oktober in slaagde om de kwaadaardige workflow uit te schakelen. Daarna zouden de “golven” op 10 en 12 oktober geen secrets hebben kunnen extraheren.
Tegelijk beschrijven ze dat er zes dagen later een stage-2 aanpak opdook die niet per se een runner nodig heeft. Dat ondersteunt de conclusie dat de operator zich bewoog naar een plek waar GitHub’s eigen controles minder grip hebben.
Concrete impact: wie kan wat verliezen?
De 94 getroffen repositories bleken te horen bij 66 eigenaars. Van die eigenaars zouden er 15 hun repositories later hebben verwijderd, hernoemd of privé hebben gemaakt.
Voor de nog toegankelijke repositories geldt dat een groot deel grotendeels “stil” leek te staan: de meeste projecten zouden langer dan een jaar geen commits hebben gehad, met zelfs één repo die al meer dan negen jaar onaangeroerd was. Dat wijst erop dat aanvallers ook profiteren van oude codebases en minder actief onderhouden projecten.
Wat je nu kunt doen om de GhostAction font-misleiding te beperken
Als je maintainer bent of code-repositories host (zeker open source), is het belangrijk om snel en gestructureerd te reageren. De onderzoekers adviseren maatregelen die zowel account-toegang als de mogelijke rotatie van secrets omvatten.
1) Revokeren en opnieuw inrichten
Revoke of herroep GitHub-toegang en tokens vanaf een schone machine. Change daarna je wachtwoorden en controleer of er OAuth-autoristaties bestaan die je niet zelf hebt gegeven.
2) Audit je repositories en workflow-inhoud
Bekijk of er in je project onverwachte workflows staan, vooral in .github/workflows. Let ook op ongebruikelijke assets in paden zoals public/fonts en wijzigingen in ontwikkelconfiguraties zoals tasks.json.
3) Rotatie van alle credential-types die workflows kunnen bereiken
Omdat de payload gericht kan zijn op veel verschillende secret-typen (van cloud keys tot AI-provider tokens), moet je de betrokken credentials roteren. Richt je daarbij op alles wat mogelijk door de betreffende workflow of de font-payload kan worden uitgelezen.
4) Informeer gebruikers die repositories hebben gekloond
Als anderen jouw repo’s hebben gekloond, kunnen zij ook in hun ontwikkelomgeving een geïnfecteerde projectstatus hebben. Waarschuw die gebruikers zodat ze hun systemen en toegang kunnen controleren.
Extra reden om alert te blijven
De onderzoekers beschrijven ook dat een deel van de tooling niet perfect was: bepaalde filters misten veel API keys, er konden time-outs optreden bij zoekacties in de home-directory en er zou één enkel IP-adres zijn gebruikt voor meerdere doelen. Juist daardoor zou het zoeken naar dat IP nog infecties kunnen blootleggen.
Maar ga niet uit van “slordige” malware als strategie. De kernlessen blijven dezelfde: aanvallers kunnen misbruik maken van vertrouwen in open-source workflows én van ontwikkelervaringen (zoals VS Code die automatisch taken kan uitvoeren).
Gerelateerde informatie om breder te kijken
Wil je de aanpak rond supply-chain en GitHub/CI-compromissen verder in context plaatsen? Lees dan ook:
- Gecompromitteerde ConnectWise toegang: wat nu te doen?
- FortiGate-inbraak: PeerStitch via Fortinet-kwetsbaarheden
- Contextuele cyberdefensie: van losse meldingen naar actie
Conclusie
De GhostAction font-misleiding laat zien hoe snel aanvallers hun tactiek kunnen aanpassen. Waar GitHub aanvankelijk kwaadaardige workflows blokkeerde, schakelde de campagne naar een combinatie van phishing met GitHub-impersonatie, OAuth-tokenroof en een persisterende tweede fase via VS Code-configuraties en een nepfont.
Door vandaag nog je OAuth-autorisaties te controleren, workflows en verdachte assets te auditen, tokens te revokeren en alle relevante credentials te roteren, verklein je de kans dat deze supply-chain aanpak ook in jouw projecten blijvende schade aanricht.
Bron: https://thehackernews.com/2026/10/ghostaction-attackers-plant-credential.html
